Druhý krok, ktorý chráni vaše účty
Dvojfaktorové overenie, často označované ako 2FA, pridáva k heslu ešte nezávislý dôkaz identity. Môže to byť kód z autentifikačnej aplikácie, hardvérový bezpečnostný kľúč, potvrdzovacia výzva v zariadení alebo biometria viazaná na konkrétne zariadenie. Článok vysvetľuje rozdiel medzi dvojstupňovým a dvojfaktorovým prihlásením, porovnáva najbežnejšie metódy, opisuje správne nastavenie a zálohovanie prístupu aj chyby, ktoré oslabujú ochranu. Osobitne upozorňuje na riziká SMS kódov, phishingu a zdieľania obnovovacích kódov. Hoci je téma relevantná pre každého používateľa, mimoriadne dôležitá je pri účtoch používaných na tlač, skenovanie a ukladanie digitalizovaných dokumentov, kde môžu byť citlivé osobné či firemné údaje.
Heslo už samo osebe nestačí na spoľahlivú ochranu účtu. Môže uniknúť pri phishingu, byť znovu použité z inej služby alebo ho môže niekto uhádnuť. Dvojfaktorové overenie (2FA) preto pri prihlásení vyžaduje ešte druhý, nezávislý dôkaz, že účet používa jeho oprávnený majiteľ. Ide o jednoduché opatrenie s veľkým účinkom, najmä pri e-maile, cloudových úložiskách a službách pre tlač a skenovanie dokumentov.
Čo znamená dvojfaktorové overenie
Pri overovaní identity sa používajú tri základné druhy faktorov: niečo, čo používateľ vie (napríklad heslo alebo PIN), niečo, čo má (telefón, autentifikačná aplikácia, bezpečnostný kľúč) a niečo, čím je (odtlačok prsta alebo rozpoznanie tváre). Dvojfaktorové overenie kombinuje aspoň dva rôzne druhy.
Typický príklad je heslo a jednorazový kód z aplikácie v telefóne. Ak útočník získa len heslo, bez druhého faktora by sa nemal vedieť prihlásiť. Prihlásenie tak prestáva závisieť od jediného tajomstva.
Dvojstupňové a dvojfaktorové nie je vždy to isté
V bežnej reči sa pojmy často zamieňajú. Dvojstupňové overenie znamená dva kroky, no oba nemusia byť samostatnými faktormi. Napríklad heslo a odpoveď na bezpečnostnú otázku sú dva kroky založené na tom, čo používateľ vie. Skutočné 2FA pridáva faktor iného typu, napríklad fyzické zariadenie alebo biometrický údaj.
Druhý faktor nenahrádza silné a jedinečné heslo. Je to ďalšia ochranná vrstva, ktorá výrazne znižuje následky krádeže hesla, nie povolenie používať slabé heslá.
Prečo je 2FA dôležité pri tlači a skenovaní
Mnohé multifunkčné zariadenia ukladajú naskenované súbory do e-mailu, sieťového priečinka alebo cloudovej služby. Takéto dokumenty môžu obsahovať zmluvy, faktúry, rodné čísla, lekárske záznamy či prístupové údaje. Prevzatie účtu útočníkom potom nemusí znamenať iba stratu e-mailu, ale aj prístup k celému archívu naskenovaných dokumentov.
2FA zapnite prednostne na primárnej e-mailovej schránke, účte cloudového úložiska a administrátorskom účte tlačového alebo skenovacieho systému. Ak zariadenie podporuje prihlásenie do služieb výrobcu, chráňte aj tento účet. V kancelárii má byť každý administrátor identifikovateľný vlastným účtom, nie spoločným heslom nalepeným pri zariadení.
- Chráňte e-mail, kam skener odosiela dokumenty.
- Zapnite 2FA pre cloudové priečinky používané funkciou „Skenovať do cloudu“.
- Obmedzte administrátorské účty zariadení na nevyhnutný počet osôb.
- Pravidelne kontrolujte históriu prihlásení a pripojené zariadenia.
Najčastejšie metódy druhého faktora
Nie všetky formy 2FA poskytujú rovnakú odolnosť proti podvodom. Pri výbere berte do úvahy citlivosť účtu, dostupnosť služby a možnosť bezpečného obnovenia prístupu.
| Metóda | Princíp | Výhody | Hlavné obmedzenie |
|---|---|---|---|
| Autentifikačná aplikácia | Generuje krátkodobé jednorazové kódy. | Funguje aj bez mobilného signálu, je bežne dostupná. | Kód možno zadať na podvodnej stránke. |
| Potvrdzovacia výzva | Prihlásenie schválite priamo v dôveryhodnom zariadení. | Rýchla a pohodlná, bez prepisovania kódu. | Vyžaduje opatrnosť pri neočakávaných výzvach. |
| Bezpečnostný kľúč | Fyzický kľúč potvrdí prihlásenie cez USB, NFC alebo Bluetooth. | Veľmi dobrá ochrana pred phishingom. | Treba mať záložný kľúč a kompatibilné rozhranie. |
| SMS kód | Kód príde v textovej správe na telefónne číslo. | Jednoduché nasadenie takmer všade. | Slabšia odolnosť voči prevzatiu čísla a phishingu. |
| Biometria zariadenia | Odtlačok alebo tvár odomkne uložený prihlasovací prostriedok. | Pohodlná ochrana na vlastnom zariadení. | Sama o sebe nie je univerzálnou náhradou 2FA. |
Ktorú možnosť uprednostniť
Pre väčšinu ľudí je dobrým začiatkom autentifikačná aplikácia. Kódy zvyčajne platia len krátko a nevychádzajú zo siete mobilného operátora. Pre hlavný e-mail, firemný účet alebo účet s množstvom citlivých skenov je vhodné pridať bezpečnostný kľúč, ak ho služba ponúka.
SMS je lepšia než žiadna druhá vrstva, ale nemala by byť prvou voľbou pri hodnotných účtoch. Útočníci môžu zneužiť sociálne inžinierstvo voči operátorovi alebo presvedčiť používateľa, aby kód odovzdal na falošnom prihlasovacom webe. Kód zo SMS, aplikácie ani obnovovací kód nikdy neposielajte e-mailom, četom alebo telefonujúcej osobe.
Pozor na únavu z výziev
Ak služba používa potvrdzovacie oznámenia, útočník môže opakovane vyvolávať žiadosti o schválenie a spoliehať sa na to, že používateľ ich raz odsúhlasí. Potvrdzujte iba prihlásenie, ktoré ste práve sami začali. Ak výzvy prichádzajú bez dôvodu, okamžite zmeňte heslo, odhláste neznáme relácie a skontrolujte nastavené metódy obnovy.
Ako 2FA nastaviť bezpečne
Názvy ponúk sa mierne líšia, ale postup býva podobný. V nastaveniach účtu hľadajte položky ako Zabezpečenie, Prihlásenie, Dvojfaktorové overenie alebo Overenie v dvoch krokoch. Nastavenie nerobte cez odkaz z nevyžiadaného e-mailu; adresu služby zadajte priamo do prehliadača alebo použite jej oficiálnu aplikáciu.
- Vytvorte si dlhé, jedinečné heslo a uložte ho do dôveryhodného správcu hesiel.
- Otvorte bezpečnostné nastavenia konkrétneho účtu a zapnite 2FA.
- Vyberte autentifikačnú aplikáciu alebo bezpečnostný kľúč; SMS nechajte skôr ako núdzovú alternatívu.
- Dokončite overenie skúšobným prihlásením v druhom zariadení alebo súkromnom okne prehliadača.
- Uložte obnovovacie kódy mimo e-mailovej schránky, ktorú daným účtom chránite.
- Pridajte druhú bezpečnú metódu pre prípad straty telefónu a skontrolujte kontakty na obnovu.
Obnovovacie kódy a plán pre stratu zariadenia
Obnovovacie kódy slúžia na núdzový prístup, keď telefón nemáte, je poškodený alebo ste zmenili zariadenie. Zaobchádzajte s nimi ako s náhradným kľúčom od domu. Môžete ich vytlačiť a uložiť na bezpečnom mieste, prípadne ich uchovať v šifrovanom úložisku so samostatne chráneným prístupom. Neukladajte ich voľne do priečinka, kam sa skenujú dokumenty, ani do nešifrovanej poznámky v telefóne.
Pri hardvérovom bezpečnostnom kľúči je rozumné zaregistrovať aspoň dva kusy: jeden používať denne a druhý uchovať oddelene ako zálohu. V organizácii treba zdokumentovať postup obnovy prístupu bez toho, aby administrátori poznali heslá ostatných používateľov.
Chyby, ktoré ochranu oslabujú
Najčastejšou chybou je schválenie výzvy alebo prepísanie kódu na stránke, ktorú otvoril odkaz v správe. Aj správny jednorazový kód môže útočník okamžite použiť na skutočnej službe. Pred prihlásením preto kontrolujte doménu v paneli prehliadača a dávajte pozor na nezvyčajné požiadavky.
- Nepoužívajte rovnaké heslo pre e-mail, cloud a portál tlačiarne.
- Nezdieľajte jeden autentifikátor medzi ľuďmi bez riadeného firemného postupu.
- Neodkladajte aktualizácie telefónu, prehliadača a firmvéru zariadenia.
- Neberte SMS kód ako dôkaz, že volajúci je pracovník podpory.
- Po odchode zamestnanca odstráňte jeho prístupové metódy aj aktívne relácie.
Praktický záver
Dvojfaktorové overenie je jedna z najúčinnejších a najdostupnejších obranných vrstiev proti prevzatiu účtu. Začnite e-mailom a cloudovým úložiskom, potom zabezpečte účty používané na tlač, skenovanie a správu zariadení. Vyberte si silnejšiu metódu než SMS, pripravte si bezpečný spôsob obnovy a každú výzvu na potvrdenie prihlásenia posudzujte kriticky.
